Попытки атак на SAP Commerce Cloud начались через три дня после патча
В SAP Commerce Cloud зафиксированы попытки эксплуатации критической уязвимости CVE-2026-58231 с максимальной оценкой 10,0 по шкале CVSS. Defused Cyber обнаружила активность в своих honeypot-системах всего через три дня после публикации исправления. Проблема затрагивает проверки авторизации и валидацию входных данных.
Что позволяет CVE-2026-58231
Согласно описанию в CVE.org, неаутентифицированный атакующий может злоупотребить клиентом аутентификации по умолчанию и передать специально сформированный ввод в функции с недостаточной проверкой. Успешная атака способна привести к выполнению произвольного кода.
Последствием может стать компрометация внутренних компонентов приложения с высоким влиянием на конфиденциальность, целостность и доступность. Defused Cyber при этом отметила, что публичного PoC для этой уязвимости нет и о подтверждённой эксплуатации в реальных средах ей неизвестно.
Что рекомендуют SAP и Onapsis
Onapsis предупредила, что успешная эксплуатация CVE-2026-58231 допускает выполнение произвольного кода и компрометацию внутренних компонентов. Компания советует заказчикам установить исправленные релизы SAP Commerce Cloud, указанные в бюллетене SAP, а затем пересобрать и повторно развернуть обновлённую версию приложения.
Как временную меру SAP предлагает настроить IP Filter Set в SAP Commerce Cloud, чтобы ограничить доступ к уязвимой конечной точке. Эта настройка уменьшает поверхность атаки, но не заменяет переход на исправленный релиз.
Контекст угроз для SAP-сред
Кто стоит за попытками атак на CVE-2026-58231, пока неизвестно. В прошлом критические уязвимости SAP, включая CVE-2025-31324 в NetWeaver, использовали связанные с Китаем кластеры UNC5221, UNC5174 и CL-STA-0048, а также группы BianLian и RansomExx.
В апреле 2025 года неизвестные атакующие применили ту же критическую проблему SAP NetWeaver для установки бэкдора Auto-Color в атаке на химическую компанию из США. На фоне инцидентов, собранных в инцидентов с уязвимостями и агентами ИИ, новая активность подтверждает необходимость оперативно закрывать критические уязвимости корпоративных платформ.
Для бизнеса практический приоритет — сверить используемый релиз Commerce Cloud с исправленными уровнями из бюллетеня SAP, запланировать пересборку и повторное развёртывание. До обновления стоит ограничить доступ к уязвимой точке через IP Filter Set и проверить журналы на признаки подозрительных запросов.